undici の共有キャッシュで他人のCookieが配られる

High（CVSS 7.4）に分類されるOpenJS Foundation / Node.js undici（cache interceptor）の脆弱性です。Node.js の HTTP クライアント undici の cache interceptor に、2つの欠陥がある。ひとつめは情報漏えいで、上流が返す Cache-Control の private ディレクティブが壊れた形（private が空値、つまり private="" のような degenerate qualified private directive）で来ると、undici がそれを「共有キャッシュに入れてよい応答」と誤って判定し、既定の共有キャッシュへ格納する。同じキャッシュキーで後から来た別の呼び出し元に、その応答がそのまま配られる。NVD の記述と GitHub Security Advisory GHSA-4cwx-7wf7-3272 はいずれも、漏れる対象に応答本文だけでなく Set-Cookie を含むヘッダが入ると明記している。つまり利用者ごとに異なるはずの応答が、別の利用者に渡る。ふたつめは可用性で、Cache-Control に修飾なしの private と修飾つきの private が混在したヘッダが来ると、cache-control のパーサで未捕捉の TypeError が発生する。その要求は失敗し、呼び出し側のエラー処理次第ではプロセスごと落ちる。成立条件は advisory が明示していて、(1) cache interceptor が shared モードで有効になっていること（これは既定の構成を含む）、(2) 上流が壊れた Cache-Control を返すこと、(3) 後続の要求が同じキャッシュキーに当たること、の3つがそろったときである。逆に言えば、攻撃者が任意に条件を作れるわけではなく、上流の応答ヘッダに依存する。CVSS はここが評価者によって割れている。ベンダー側（GHSA-4cwx-7wf7-3272）と NVD API が返す主評価はいずれも 7.4 High、ベクタは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H で、攻撃条件の複雑さ AC:H が効いている。一方 NVD の詳細ページには 9.1 Critical（AC:L）の評価も併記されている。当サイトはベンダーと NVD API が一致する 7.4 High を採用し、より高い評価が存在することをここに明記する。影響範囲は undici 7.0.0 以上 7.29.0 未満と、8.0.0 以上 8.9.0 未満。NVD の公開は 2026年7月29日、最終更新は 2026年8月4日である。CISA KEV への収載は 2026年8月21日時点で確認できていない。

対応は undici を 7.29.0 または 8.9.0 以降へ更新することである。両系列とも修正版が出ているので、7 系を使い続ける場合も 8 系へ上げる必要はない。すぐに更新できない場合、advisory が回避策を3つ挙げている。第一に、利用者ごとに異なる応答（認証後のページ、個人設定、Set-Cookie を伴う応答）に共有キャッシュを使わないこと。第二に、cache interceptor の type を 'private' に指定して共有モードを外すこと。この脆弱性は共有モードでのみ成立するので、これが最も直接的な緩和になる。第三に、問題のある上流オリジンについてキャッシュそのものを無効化すること。運用側で確認しておきたいのは、自分のコードが undici を直接使っていなくても依存の奥で使われている場合があるという点である。npm ls undici で依存ツリー上の実バージョンを確認し、複数バージョンが同居していないかを見ること。ロックファイルを更新せずに package.json だけ直しても実体は変わらない。なお、cache interceptor は明示的に組み込む機能であり、これを使っていなければこの2つの欠陥は成立しない。まず「shared モードの cache interceptor を使っているか」を切り分けてから、更新の緊急度を決めるのが実務的である。Node.js 本体が同梱する undici についてこの CVE がどう扱われるかは、2026年8月21日時点で Node.js のセキュリティリリース情報から確認できていないため、後述のとおり要確認とする。

OpenJS Foundation / Node.js undici（cache interceptor） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-13697）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。